第一章 绪论
近年来，随着物联网以及移动互联网的发展、高性能云计算的突破及其基础设施的普及，微型计算机（ personal computer，PC）、平板电脑、手机等智能终端设备以及遍布全球的传感器，收集和存储了大量的数据。这些数据的飞速生成和聚焦，迫使人们迈入大数据时代。大数据的应用已全面融入全球 IT（internet technology，互联网技术）、零售、交通、教育、医疗等各个行业，深刻改变着全球经济利益以及安全格局。
第一节 数据及其权利内涵
一、数据的内涵与基本属性
（一）数据的定义
数据并非伴随大数据而生，而是自古有之。远至人类结绳记事，利用图形记录事件，再至人们的口口相传，文字的产生，诗歌的传颂，文字的世代传递，无一不是数据的流通与传递。它既有形也无形，与人类社会的发展密切相关。所以，数据究竟是什么？数据是对客观世界的观察，是关于社会、经济、自然现象的数量指标的统计资料①。虽然数据的诞生远远早于信息技术和大数据技术，但数据这一概念逐渐为人们所关注，则与大数据时代、网络技术密切相关。网络的普及更是加快了数据的流通与传递。大数据技术增强了人们处理海量数据的能力，曾经没有价值的海量的无序数据，在数据挖掘、数据清洗、数据分析等数据技术支持下，迸发出无限生机和极高的经济价值。大数据技术在得到人们关注的同时，其不当应用也引发了诸多数据安全问题，由此，大数据应用及其保护愈来愈受关注。
在日常生活中，数据与信息这两个概念经常混用。从学理上讲，数据、信息和知识的关系呈金字塔状，逐级提升。信息是对数据加工处理后的结果，知识则是得到验证的、能够正确反映客观世界的信息。同时，数据、信息与隐私也存在一定的区分。隐私应是存在一定私密性的、与公众利益无关的个人信息，是信息的一部分。而从目前各国立法现状上讲，个人数据、个人信息和个人隐私等根据各国习惯不同常常混用。中国、日本、韩国、俄罗斯等国家主要使用“个人信息”（personal information）的表述，如《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）中的规定；欧盟国家大多使用“个人数据”（personal data）的表述，如欧盟《通用数据保护条例》（General Data Protection Regulation，GDPR）第 4条对个人数据范围的界定；美国及受其影响较大的国家（地区）多使用“个人隐私”（personal privacy）来表述，如美国《儿童在线权益保护法案》《消费者权益保护法案》中的规定；而澳大利亚使用“个人资料”（personal file）的表述。这四种表述虽在字面上有差别，但具体意义相近，因而本书将使用“个人数据”的概念，在对非使用“个人数据”表述的国家的数据权利体系进行分析时，将使用这一国家所使用的表述。
（二）数据的类型
数据根据分类标准的不同，可以划分为不同的类型。按照数据性质，可以分为定性数据和定量数据；根据数据的领域，可以分为工业数据、农业数据、商业数据、学术数据等多种类型；根据数据经过处理的步骤，可以分为原始数据和衍生数据，原始数据即未经处理、没有经过任何加工的数据，衍生数据为加工后的数据；根据数据主体，可以分为个人数据、企业数据、国家数据。笔者在对数据权利体系进行探究时，主要选择了根据数据主体进行分类的方式，原因有二：一是数据来源庞杂数量庞大，随着技术的发展，数据的类型和领域愈发多样，无论是数据性质、数据领域还是数据处理步骤的分类方式，都缺乏稳定性，数据可能会随技术的发展而发生变化。而数据的主体则较为稳定，受数据相关技术影响较小，将数据主体作为数据分类方式，能够对较长一段时期内的数据权利体系进行探究。二是权利是需要法律的保障才能生效的，因此对数据权利体系的研究是建立在法律及相关案例的基础上的。目前国内外对数据权利的法律保障主要是运用主体与领域相结合的方式，例如个人信息保护法、商业秘密保护法等。因此，笔者采用主体分类标准，将数据分为个人数据、企业数据和国家数据，之后在对法律及相关案例进行调研的基础上，通过分析个人数据权利体系、企业数据权利体系和国家数据权利体系的演化进程，总结其共性和特性，从而对数据权利体系进行研究。具体而言，个人数据、企业数据和国家数据的范畴如下。
个人数据，是指与自然人相关的所有数据。欧盟《通用数据保护条例》中将个人数据（ personal data）定义为“与已识别或者可识别的自然人相关的任何数据”，其中“可识别的自然人”指的是“通过姓名、身份证号、定位数据、网络标识符号以及特定的身体、心理、基因、精神状态、经济、文化、社会身份等识别符能够被直接或间接识别到身份的自然人”。其中，个人数据通常包括自然人的姓名、出生日期、身份证号、住址、电话号码、交易信息、健康生理信息等。个人数据按照敏感程度可以分为敏感型数据和一般型数据。我国2018年5月开始实施的《信息安全技术个人信息安全规范》中将“个人敏感信息”定义为“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息” ①。与之无关的则为一般型数据。法律会对敏感型数据加以特殊的保护。
企业数据，通俗而言是企业拥有的、可支配的数据。企业数据可分为两类，第一类是企业自身基本情况数据，包括企业人才数据、经营数据、知识产权、发展战略等。对于这一类的数据，企业通常通过建设数据库和数据平台的形式进行管理。这部分数据，企业拥有绝对的所有权。第二类是企业经用户授权收集到的用户个人数据，包括原始数据和衍生数据。对于这一类数据，企业通常采用三种方式收集：①用户个人上传。例如用户在App（application，应用程序）注册账户时填写的身份信息。②企业收集。企业采用直接或间接的形式收集用户信息，例如淘宝对用户交易信息的收集，导航软件通过收集定位信息进行实时定位等。③企业间数据流动或数据共享。例如通过数据交易中心进行数据流动，或是建设数据平台进行数据共享。需要注意的是，个人数据、企业数据和国家数据在大多数情况下是相互独立的，而企业收集到的个人数据就是个人数据与企业数据的交叉情况。这一部分数据，企业经由用户同意后，有处理加工数据的权利，也有利用技术措施保障数据安全的义务。
国家数据，即国家机关所拥有的数据。《现代汉语词典》（第7版）将国家机关定义为“行使国家权力、管理国家事务的机关。包括国家权力机关、国家行政机关、审判机关、检察机关和军队等”。我国将国家数据范畴划定为四类，按照机密性依次为：①涉及国家安全和公共安全的数据，例如军事机密、国防数据、反恐数据、外交数据等。此类数据与国家利益息息相关，一旦泄露，会对国计民生造成极大的影响。②国家机关所掌握的与民生和经济相关的数据及统计数据，包括税务数据、经济增长数据、就业统计数据等。这一部分与民生和经济发展密切相关，通常会由国家机关统计后进行公布。③国家机关所公布的政策法规数据，包括行政法规、国民经济发展规划、财政预算决算信息、突发公共事件的应急预案等。这一部分主要是国家机关所制定的规划章程，包括政治、法律、经济、民生、教育等多个方面，由国家机关进行公示。④国家机关自身拥有的数据，包括人员数据、财务数据等。这一部分通常由国家机关进行内部管理，部分进行公示。
（三）数据的权利属性
对数据的序化治理依赖完备的数据法规，而数据的权利属性是制定数据化资源确权、开放、流通、交易的相关制度，完善数据产权保护制度，构建数据主权治理战略的基石。数据具有民法上客体的特征，表现为：①存在于人体之外，数据是对事实、活动的数字化记录，呈现为非物质性的比特构成；②具有确定性，数据必须依赖一定的载体为存在条件，其内容是确定的、稳定的，其载体所承载的数据的内容和数量都可以独占和控制，如欧盟的数据可携权等相关法律均规定数据主体对其自身相关的数据拥有控制性的权利；③具有独立性，数据本身的呈现形式是比特，所承载的内容是事实和活动，数据能够独立存在，能够与其所表现的形式媒介在观念和制度上进行分离，并具有独立的利益指向；④具有民法以“无形物”作为权利客体的特征，数据所依托的物理介质和承载的内容都具有无形性的表征，数据是以其所含内容来界定权利义务关系的，具有类似知识产权所具有的信息垄断性的内在特征①。概而言之，数据存在于人体之外，具有确定性、独立性，具有民法上客体的特性，同时其客体的自然属性及其特殊性决定了数据难以依靠现有权利制度予以全面规制，必须建立新的保护制度与治理规范。对于数据的权利属性在学界已有广泛讨论，一般认为数据兼具人格权、财产权和国家主权属性。
其一，数据具有人格权属性。人格权是以权利者的人格利益为客体的民事权利①，指以人的价值、尊严为内容的权利（一般人格权），并个别化于特别人格法益（特别人格权），例如生命权、身体、健康、名誉、自由、信用、隐私②。数据，特别是个人数据，明确地涵盖了自然人如姓名、身份证号、家庭住址、信用状况、运动轨迹、爱好等全方面的个人特征，可以指向和识别具体自然人，具有明确的人格权属性。
其二，数据具有财产权属性。客体作为法律上的财产需要具备三个积极要件：有用性、稀缺性和可控制性。当前，数据的商品化、战略资源化已经从实践上证明数据的使用价值和其作为资源的稀缺性，数字经济的快速发展进一步彰显数据作为财产、资源的属性。同时，数据可被记录、加密、存储，并依托于具体的载体和数据控制者，使其可被控制和支配，数据的可控制性得到彰显，由此可见，数据符合法律上财产的要件，具有法律上的财产属性。
其三，数据具有国家主权属性。数据被广泛地运用于科技、教育、医疗、军事等领域之中，现代国家主权的争端不仅仅停留在传统分类下的领土、领陆、领空等，更多地向数字空间扩展，以“棱镜门”为代表的国际事件正式表明，在信息时代，数据已与国家安全、社会发展相互交叉竞合，“数据主权”保卫能力决定了一个国家在未来的位置③。在实践中，主权国家有权运用国家权力对数据施以控制和管辖已成共识：俄罗斯联邦法律规
展开
